ディレクトリトラバーサル とは？

たとえばWebアプリに「/download?file=report.pdf」というURLがあるとする。ここで「file=../../../etc/passwd」と書き換えると、サーバの重要ファイルにアクセスできてしまうかもしれない。「../」でディレクトリを遡って、本来アクセスできないファイルを読むんだ。

Linuxなら/etc/passwd（ユーザー情報）、/etc/shadow（パスワードハッシュ）、アプリケーションの設定ファイル（データベースの接続情報など）、ソースコードなどが狙われるよ。Windowsだとwin.iniやboot.iniなども対象だね。

基本は入力値の検証だよ。「../」や「..\\」を含むパスを拒否する、ファイル名だけを受け取ってディレクトリ部分は固定する、パスを正規化してからチェックする、といった方法がある。多くのWebフレームワークには組み込みの対策があるから、それを活用するのが安全だね。

いい質問だね。「../」を「%2e%2e%2f」や「..%252f」のように二重エンコードして検知を回避しようとする手法もあるんだ。だから入力値のデコード処理を適切に行ってからチェックする必要がある。ホワイトリスト方式で許可するファイル名だけを指定するのが最も確実な対策だよ。